挖礦綁架（cryptojacking）是慢慢吃你的雲端費用，「LLMJacking」則是幾個小時就能燒出天價帳單。Google 威脅情報團隊（GTIG）與 Mandiant 11 月 2 日發布報告，整理 2026 年處理的多起企業 LLM 存取權遭劫持事件：單一事件一天內的詐欺費用超過 10 萬美元，部分組織在撤銷存取前累計達 100 萬美元。更值得注意的是，偷來的模型額度已形成地下產業鏈，被所謂「LLM Mixer」打包轉賣。
事件經過
- Mandiant 在 2026 年處理多起 LLMJacking 事件，橫跨多家雲端與 LLM 供應商，受害者分布在北美、南美與亞太，產業包含金融、零售、科技、運輸。
- 攻擊者不是去騙客服聊天機器人，而是直接打後端模型資源：找公開曝露的 LLM 端點，或取得有效的 LLM API 金鑰。報告舉例，攻擊者會用腳本測試對外開放的 Ollama 端點，嘗試註冊自己的模型。
- 最主要的入侵途徑是外洩或被竊的雲端身分憑證：IAM 憑證、Service Account 金鑰、GitHub 個人存取權杖（PAT）與有效的 session token。
- 有攻擊者從公開 GitHub 倉庫收集企業 LLM API 金鑰，並用 `max_tokens=1` 的極小請求逐一驗證金鑰是否可用，避免觸發用量異常告警。
- 案例之一 UNC6993：透過設定錯誤的 Service Account 金鑰入侵雲端主機，接著建立更多 API 金鑰、啟用 LLM 服務，很快累積超過 10 萬美元費用；還架設假冒應用入口的頁面，誘騙使用者貼上含有效 access token 的 JSON，藉此繞過密碼與 MFA。
- 另一攻擊者在不到 8 小時內呼叫 LLM API 超過 50 萬次，用偷來的金鑰支撐代理服務 jet-night.com，讓受害組織承擔將近 100 萬美元的 token 費用。
重點
| 階段 | 攻擊者做什麼 |
|---|---|
| 初始入侵 | 外洩的雲端憑證、GitHub PAT、session token、LLM API 金鑰；或掃描公開的 LLM 端點 |
| 橫向移動與持久化 | 翻程式庫找寫死的密鑰、查資料倉儲找密碼、建立偽裝成「帳務最佳化工具」的後門服務帳號、植入 SSH 金鑰 |
| 濫用 | 替受害者啟用原本沒開的 LLM 服務、訂閱隨用隨付方案、開高階模型大量推論、申請 GPU 配額 |
| 變現 | 透過「LLM Mixer」聚合、計量、轉賣偷來的額度給地下用戶 |
- LLM Mixer：GTIG 指出，有人專門負責入侵，有人負責下游變現。Mixer 用開源 API 閘道（如 new-api、gcli2api）與自建中繼，把偷來的金鑰集中、分流再出售。Jet Night 以每月約 60 美元宣傳「無限 token」，GTIG 認為如此低價只能靠盜用金鑰維持。
- 連 LLM 閘道本身也被打：GTIG 提到，有攻擊者利用 LiteLLM 閘道漏洞 CVE-2026-40217，把一般 Virtual Key 提升為 PROXY_ADMIN 管理員權限。（BleepingComputer 對此漏洞的技術描述與 Google 原文不同，請以 LiteLLM 官方公告為準。）
- 很多受害者根本沒在用 LLM：Mandiant 指出，多起事件中受害組織在遭入侵時並未啟用 LLM 服務，是攻擊者用竊得的金鑰幫它打開，幾分鐘到幾小時內就產生巨額帳單。
- GTIG 預期，LLMJacking 會逐漸取代挖礦，成為攻擊者偏好的雲端資源竊取手法。
對你的實務建議
企業／IT 管理者
- 把「啟用 LLM 服務」當成重大告警：AWS Bedrock、Azure OpenAI／Cognitive Services、Google Vertex／Gemini API 等服務的啟用事件，非 IaC 流程觸發就要立即調查。
- 設預算上限與模型配額：每個專案、每個模型設請求量配額與花費上限，不要只設「到了再寄信通知」。
- 金鑰分級：API 金鑰依模型、環境（開發／正式）與用量切開，避免一把便宜小模型的金鑰就能呼叫最貴的前沿模型。
- 秘密掃描與集中管理：在 GitHub／GitLab 啟用 secret scanning；金鑰放進集中的秘密管理服務並自動輪替，縮短外洩金鑰的有效期。
- 最小權限：不需要 LLM 的帳號與服務帳號，明確拒絕 LLM 相關權限；限制建立 Service Account 金鑰與 token 的權限。
- 開啟並監看稽核日誌：GCP 的推論操作記錄在 Data Access 日誌中，預設關閉，要手動開；留意 `max_tokens=1` 這類小量探測、節流錯誤暴增，以及關閉日誌的操作。
- 自架模型不要對外裸奔：Ollama 等推論端點不要直接開在公網；LiteLLM 這類閘道要納入修補流程。
- 全面採用抗釣魚 MFA，並教育使用者「任何要你貼上 token 或 JSON 的頁面都可疑」。
一般用戶（個人開發者、使用 API 的小團隊）
- 不要把 OpenAI、Anthropic、Google 等 API 金鑰寫進程式碼或推上公開 GitHub；推錯了就立刻撤銷並重發，刪 commit 不夠。
- 在各家平台後台設定每月用量上限與帳單告警。
- 號稱「無限 token、只要幾十美元」的第三方 API 中轉服務，可能就是用贓物在賣，除了涉及盜用，你送出去的提示內容也不知道經過誰的手。
- 雲端帳號開啟 MFA，定期檢查有沒有不認識的金鑰或服務帳號。
資料來源
- Google Cloud Blog（GTIG）：The Rise of LLMJacking: How Threat Actors Monetize Compromised Cloud and Model Resources
- BleepingComputer：Google: LLMjacking attacks rack up $1 million in cloud AI charges
- The Register：Token thieves costing companies $100K+ per day in illicit LLM charges
- Help Net Security：Stolen AI access leaves companies with cloud bills of up to $1 million
發表留言